Въведение
Статията описва възможностите и архитектурните особености на облачната платформа Citrix Cloud и набора услуги Citrix Workspace. Тези решения са централният елемент и основата за реализирането на концепцията за цифрови работни места (digital workspace) от компанията Citrix.
В настоящата статия се опитах да разбера и формулирам причинно-следствените връзки между облачните платформи, услугите и абонаментите на Citrix, описанието на които в отворените източници на компанията (citrix.com и docs.citrix.com) изглежда на места много неясно. Облачните технологии – иначе очевидно не може! Следва да се отбележи, че архитектурата и технологиите са разкрити в общи линии разбираемо. Сложностите възникват в разбирането на йерархичната взаимовръзка между услугите и платформите:
- коя платформа е първоначална – Citrix Cloud или Citrix Workspace Platform?
- в коя от горепосочените платформи са включени многобройните услуги на Citrix, необходими за изграждането на инфраструктурата за цифрови работни места?
- колко струва това удоволствие и в какви варианти може да бъде получено?
- възможно ли е да се реализират всички функции на digital workspace Citrix без използването на Citrix Cloud?
Отговорите на тези въпроси и запознаване с решенията на Citrix за цифрови работни места под заглавието.
Citrix Cloud
Citrix Cloud е облачна платформа, в която са разположени всички услуги, необходими за организирането на цифрови работни места. Тази облачна среда е собственост на самата компания Citrix, която я поддържа и осигурява зададената (достъпност на услугите – не по-малко от 99.5% на месец).
Клиентите на компанията Citrix в зависимост от избрания абонамент (пакет услуги) получават достъп до определен набор от услуги по модел SaaS. За тях Citrix Cloud служи като облачно табло за управление на цифровите работни места на компанията. Citrix Cloud има multi-tenant архитектура, при която клиентите и техните инфраструктури са изолирани един от друг.
Citrix Cloud играе ролята на контролен слой (control plane), където се намират многобройни облачни услуги на Citrix, включително служебни и управляващи услуги за инфраструктурата digital workspace. Данният слой, включващ потребителски приложения, работни пространства и данни, е извън Citrix Cloud. Изключение прави единствено Secure Browser Service, предлаган напълно по облачна модел. Данният слой може да бъде разположен в дата центъра на клиента (on-premises), в дата центъра на доставчик на услуги, или в хипероблаци (AWS, Azure, Google Cloud). Възможни са хибридни и разпределени решения, при които данните на клиента са разположени на различни места и облаци, като тяхното управление се осъществява централизирано от Citrix Cloud.
Този подход има редица очевидни предимства за клиентите:
- свобода на избор на място за разполагане на данните;
- възможност за изграждане на хибридна разпределена инфраструктура, предполагаща множество разполагания при различни доставчици, в няколко облака и на място (on-premises);
- липса на пряк достъп до потребителските данни от страна на Citrix, тъй като те са извън Citrix Cloud;
- възможност за самостоятелно задаване на необходимото ниво на производителност, отказоустойчивост, надеждност, конфиденциалност, цялостност и достъпност на данните; след което да се изберат съответните места за разполагане;
- липса на необходимост от разполагане и поддръжка на множество услуги за управление на цифровите работни места, тъй като всички те се намират в Citrix Cloud и са грижата на Citrix; следователно - намаляване на разходите.
Citrix Workspace
Citrix Workspace е трансцендентално, основополагаещо и всеобхватно понятие. Нека разгледаме по-подробно и да разберем защо.
По същество Citrix Workspace олицетворява концепцията за цифрови работни места от компанията Citrix. Това е едновременно решение, услуга и набор от услуги за създаване на обединени, сигурни, удобни и управлявани работни места.
Потребителите получават шанса за безпроблемен SSO за бърз достъп до приложения/услуги, десктопи и данни от единен контролен панел на всяко устройство за продуктивна работа. Те с радост могат да забравят за многобройните акаунти, пароли и трудностите при намирането на приложения (ярлици, стартово меню, браузъри – всичко на различни места).
ИТ отделът получава инструменти за централизирано управление на услугите и клиентските устройства, осигуряване на сигурност, разделение на достъпа, мониторинг, актуализация, оптимизация на мрежовата връзка и анализи.
Citrix Workspace позволява предоставянето на обединен достъп до следните ресурси:
- Citrix Virtual Apps and Desktops – виртуализация на приложения и десктопи;
- Уеб приложения;
- Облачни SaaS приложения;
- Мобилни приложения;
- Файлове в различни хранилища, включително облачни.
Достъпът до ресурсите на Citrix Workspace се осъществява чрез:
- Стандартен браузър — поддържат се Chrome, Safari, MS IE, Edge и Firefox
- или 'родно' клиентско приложение — Citrix Workspace App.
Достъпът е възможен от всички популярни клиентски устройства:
- Пълноценни компютри с Windows, Linux, MacOS и дори Chrome OS;
- Мобилни устройства с iOS или Android.
Citrix Workspace Platform е част от множеството облачни услуги на Citrix Cloud, предназначени за организиране на цифрово работно пространство. Струва си да се отбележи, че Workspace включва в себе си повечето услуги, налични в Citrix Cloud, на които ще се спрем по-подробно по-късно.
Така потребителите получават функционалността на цифровите работни места на любимите си клиентски устройства чрез Workspace App или неговата браузърна алтернатива (Workspace App за HTML5). За постигане на тази функционалност Citrix предлага Workspace Platform под формата на набор от облачни услуги, които администраторите на компанията управляват чрез Citrix Cloud.
Citrix Workspace е наличен в : Standard, Premium, Premium Plus. Те се различават по количеството услуги, включени в пакета. Също така, има възможност да се закупят някои услуги поотделно, извън пакета. Например, основополагаещата услуга Virtual Apps and Desktops е включена само в пакета Premium Plus, а нейната отделна цена е по-висока от пакет Standard и почти равна на Premium.
Изглежда, че Workspace е едновременно клиентско приложение – Workspace App, облачна платформа (нейна част) — Workspace Platform, а също така и име на разновидности пакети услуги, и концепция за цифрови работни места от Citrix в общи линии. Такава многолика същност.
Архитектура и системни изисквания
Условно в структурата Digital Workspace на компанията Citrix могат да се отличат 3 области:
- Множество клиентски устройства с приложение Workspace App или браузърно достъп до цифровите работни места.
- Непосредствено Workspace Platform в облака Citrix Cloud, което се намира някъде в интернет на домейн cloud.com.
- Локации на ресурси (resource location) — собствени или наети площадки, частни или публични облаци, в които се разполагат ресурси с приложения, виртуални работни станции и данни на клиента, публикувани в Citrix Workspace. Това е така нареченият data-plane, за който се спомена по-горе, да припомня, че един клиент може да има няколко resource location.
Примери за ресурси могат да бъдат хипервизори, сървъри, мрежови устройства, домейни AD и други елементи, необходими за предоставяне на съответните услуги на цифровите работни места.
Разпределеният сценарий на инфраструктурата може да предвиди:
- няколко локации на ресурси в собствени дата центрове на клиента,
- локации в публични облаци,
- малки локации в отдалечени клонове.
При планиране на локациите трябва да се вземат предвид:
- близостта на потребителите, данните и приложенията;
- възможността за мащабиране, включително осигуряване на бързо увеличаване и свиване на капацитетите;
- изискванията за сигурност и нормативните разпоредби.
Комуникацията между Citrix Cloud и локациите на ресурсите на клиента се осъществява чрез компоненти, наречени Citrix Cloud Connector. Тези компоненти позволяват на клиента да се фокусира върху поддръжката на ресурсите, предоставяни на потребителите, и да забрави за танците със служебните и управляващите услуги, които вече са разположени в облака и се поддържат от Citrix.
За балансиране на натоварването и устойчивост на грешки, се препоръчва да се разположат поне две Cloud Connector в всяка локация на ресурсите. Cloud Connector може да бъде инсталиран на физическа или виртуална машина с Windows Server (2012 R2 или 2016). Препоръчително е да бъдат разположени в вътрешната мрежа на локацията на ресурсите, а не в DMZ.
Cloud Connector удостоверява и криптира трафика между Citrix Cloud и локацията на ресурсите по https, стандартно – TCP порт 443. Допуска се само изходящ трафик – от Cloud Connector към облака, входящите връзки са забранени.
Citrix Cloud изисква наличие на услуга Active Directory (AD) в инфраструктурата на клиента. AD играе ролята на основен IdAM доставчик и е необходима за авторизация на достъпа на потребителите до ресурсите на Workspace. Cloud Connector-ите трябва да имат достъп до AD. За устойчивост на грешки, добра практика е да се имат по няколко контролера на домейн в всяка локация на ресурсите, които да взаимодействат с Cloud Connector-ите на съответната локация.
Услуги на Citrix Cloud
Сега е време да се спрем на основните услуги на Citrix Cloud, които стоят в основата на платформата Citrix Workspace и позволяват на клиентите да разгръщат пълноценни цифрови работни места.
Нека разгледаме предназначението и функционалността на тези услуги.
Virtual Apps and Desktops
Това е основната услуга на Citrix Digital Workspace, която позволява терминален достъп до приложения и пълноценен VDI. Поддържа виртуализация на Windows и Linux приложения и десктопи.
Като облачна услуга, Virtual Apps and Desktops service включва същите компоненти, както традиционният (необлачен) Virtual Apps and Desktops, както е показано на долната рисунка. Разликата е, че всички управляващи компоненти (control plane) в случая на услугата се намират в облака Citrix Cloud. Клиентът вече не трябва да разгръща и поддържа тези компоненти, като выделя за тях изчислителни ресурси, това се грижи компанията Citrix.
От своя страна клиентът в локацията на ресурсите трябва да разгръща следните компоненти:
- Cloud Connector-ите;
- Контролерите на домейн AD;
- Virtual Delivery Agents (VDAs);
- Хипервизорите – обикновено те са налични, но понякога има ситуации, в които може да се мине без физика;
- Опционални компоненти — Citrix Gateway и StoreFront.
Всички изброени компоненти, с изключение на Cloud Connector-ите, клиентът ги поддържа самостоятелно. Това е логично, тъй като тук се намира data-plane, особено що се отнася до физически възли и хипервизори с VDA, където се разполагат непосредствено потребителски приложения и десктопи.
Cloud Connector-ите трябва да бъдат инсталирани само от клиента, това е много проста процедура, изпълнявана от конзолата на Citrix Cloud. По-нататъшната им поддръжка се извършва автоматично.
Контрол на достъпа
Тази услуга предоставя следните възможности:
- SSO (single sign-on) към голям набор от популярни SaaS приложения;
- Филтриране на достъпа до интернет ресурси;
- Мониторинг на активността на потребителите в интернет.
SSO на клиентите към SaaS услуги чрез Citrix Workspace е по-удобна и безопасна алтернатива в сравнение с обикновения достъп през браузър. Списъкът на поддържаните SaaS приложения е доста голям и постоянно се разширява.
Филтрирането на достъпа до интернет може да бъде конфигурирано на базата на ръчно създадени бели или черни списъци на сайтове. Освен това, поддържа се разделяне на достъпа по категории сайтове, на базата на обширни актуализирани търговски списъци с URL адреси. Потребителите могат да бъдат ограничени в достъпа до категории сайтове като социални мрежи, покупки, за възрастни, зловреден софтуер, торенти и др.
Освен разрешаването на достъпа до сайтове/SaaS директно или блокирането на достъпа до тях, има възможност да се пренасочат клиентите към Secure Browser. Т.е. за намаляване на рисковете достъпът до избрани категории/списъци интернет ресурси ще бъде възможен само чрез Secure Browser.
Услугата също предоставя детайлна аналитика за мониторинг на активността на потребителите в интернет: посещавани сайтове и приложения, опасни ресурси и атаки, блокиран достъп, обеми на качени/свалени данни.
Secure Browser
Позволява публикуване на интернет браузър (Google Chrome) за потребителите на Citrix Workspace под формата на виртуално приложение. Secure Browser – това е SaaS услуга, чиято администрация и поддръжка се осъществява от компанията Citrix. Той е изцяло разположен в Citrix Cloud (включително data-plane), като на клиента не му се налага да го разгръща и поддържа в собствените си ресурси.
Citrix отговаря за разпределение на ресурси в своето облако за VDA, на които се хостват браузерите, публикувани за клиентите, осигуряваща сигурност и актуализация на ОС и самите браузери.
Достъпът на клиентите до Secure Browser се осъществява чрез Workspace app или клиентски браузер. Сесията е защитена чрез TLS. За ползване на услугата, клиентът не трябва да изтегля и инсталира нищо.
Сайтовете и уеб приложенията, които се стартират чрез Secure Browser, работят в облака, клиентът само получава изображение на терминалната сесия, на крайното устройство нищо не се изпълнява. Това значително увеличава нивото на сигурност и защитава от атаки на браузъра.
Свързването и управлението на услугата се извършва чрез панела на клиента в Citrix Cloud. Свързването става с няколко кликвания:
Управлението също е доста просто, то се свежда до задаване на политика и бели списъци:
Политиката позволява регулиране на следните параметри:
- Clipboard – позволява активиране на функцията за копиране и поставяне в браузерната сесия;
- Printing – възможност за запазване на уеб страници на клиентското устройство във формат PDF;
- Non-kiosk – по подразбиране е включена, позволява пълноценна употреба на браузера (много табове, адресен бар);
- Region failover – възможност за рестартиране на браузера в друг регион на Citrix Cloud при срив на основния регион;
- Client drive mapping – възможност за монтиране на диска на клиентското устройство за изтегляне или качване на файлове от браузерната сесия.
Белите списъци (Whitelists) позволяват задаване на списък със сайтове, до които ще бъде отворен достъп на клиентите. Достъпът до ресурси извън този списък ще бъде забранен.
Сътрудничество в съдържанието
Тази услуга осигурява комбиниран достъп на потребителите на Workspace до файлове и документи, разположени на вътрешни ресурси на клиента (on-premises) и поддържани от публични облачни услуги. Това могат да бъдат лични папки на потребителя, корпоративни мрежови дялове, документи SharePoint или облачни хранилища като OneDrive, DropBox или Google Drive.
Услугата предоставя SSO за достъп до данните на всички видове хранилища. Потребителите на Citrix Workspace получават безопасен достъп до работните файлове от своите устройства, не само в офиса, но и дистанционно, без никакви допълнителни трудности.
Content Collaboration предлага на следните възможности за работа с данни:
- обмен на файлове между ресурсите Workspace и клиентското устройство (изтегляне и качване),
- синхронизация на файловете на потребителя на всички устройства,
- съвместен достъп до файловете и тяхната синхронизация за множество потребители на Workspace,
- настройка на права за достъп до файлове и папки за други потребители на Workspace,
- запитване за достъп до файлове, генериране на линкове за безопасно качване (upload) на файлове.
В допълнение, се осигуряват допълнителни механизми за защита:
- достъп до файлове чрез еднократни пароли,
- шифроване на файлове,
- осигуряване на споделени файлове с водни знаци (watermark).
Управление на крайни устройства
Тази услуга осигурява необходимата функционалност за управление на мобилни устройства (Mobile Device Management — MDM) и приложения (Mobile Application Management — MAM) за цифрови работни места. Citrix я позиционира като SaaS-EMM решение – Enterprise Mobility Management като услуга.
Функционалността MDM позволява:
- разпространение на приложения, политики за устройства, сертификати за свързване с ресурсите на клиента,
- поддържане на отчет за устройствата,
- блокиране и извършване на пълно или частично изтриване (wipe) на устройствата.
Функционалността MAM позволява:
- осигуряване на сигурност на приложенията и данните на мобилни устройства,
- доставяне на корпоративни мобилни приложения.
В контекста на архитектурата и принципа на предоставяне на услуга на клиента, Управлението на крайни устройства много прилича на описания по-горе облачен вариант Virtual Apps and Desktops. Control Plane и образуващите я услуги се намират в Citrix Cloud, а тяхната поддръжка се извършва от Citrix, което позволява разглеждането на тази услуга като SaaS.
Data Plane в локации на ресурсите на клиента включва:
- Cloud Connector-и, необходими за взаимодействие с облака на Citrix,
- Citrix Gateway-и, осигуряващи сигурен отдалечен достъп на потребителите до вътрешните ресурси на клиента (приложения, данни) и функционалност микро-VPN,
- Active Directory, PKI
- Exchange, файлове, виртуални приложения и десктопи.
Gateway
Citrix Gateway осигурява следната функционалност:
- шлюз за отдалечен достъп – безопасно свързване с корпоративните ресурси за мобилни и отдалечени потребители извън защитената периметър,
- IdAM-провайдер (Identity and Access Management) за осигуряване на SSO към корпоративните ресурси.
Под корпоративните ресурси в този контекст следва да се разбира не само виртуални приложения и настолни компютри, но и многобройни SaaS приложения.
За оптимизация на мрежовия трафик и получаване на функцията micro VPN е необходимо разгръщане на Citrix Gateway на всяко от местоположенията на ресурсите, обикновено в DMZ. В такъв случай разпределението на необходимите мощности и поддръжката лягат на раменете на клиента.
Алтернативен вариант – използването на Citrix Gateway като услуга Citrix Cloud, в този случай на клиента не се налага нищо да разгръща и поддържа, това прави Citrix в своето облако.
Анализ
Това е аналитична услуга Citrix Cloud, интегрирана с всички описани по-горе облачни услуги. Тя е предназначена за събиране на данни, генерирани от услугите на Citrix, и тяхният анализ чрез вградените механизми за машинно обучение. При това се вземат предвид метрики, свързани с потребителите, приложенията, файловете, устройствата и мрежата.
В резултат се формират доклади относно сигурността, производителността и потребителските операции.
Освен формирането на статистически доклади, Citrix Analytics може да действа проактивно. Това се изразява в създаването на профили за нормално поведение на потребителите и откритие на аномалии. Ако потребителят започне нетипично да използва приложението или активно споделя данни, той и устройството му могат да бъдат автоматично блокирани. Същото ще се случи и при достъп до опасни интернет ресурси.
Внимание се обръща не само на сигурността, но и на производителността. Анализът позволява мониторинг и бързо решаване на проблеми, свързани с дългото влизане на потребителите и мрежовите закъснения.
Заключение
Запознахме се с архитектурата на облака Citrix, платформата Workspace и нейните основни услуги, необходими за организиране на инфраструктурата на цифровите работни места. Следва да се отбележи, че разгледахме далеч не всички услуги на Citrix Cloud, ограничихме се до основния набор за организиране на digital workspace. на услугите на облака Citrix също включва мрежови инструменти, допълнителни функции за работа с приложения и работни места.
Също така е необходимо да се спомене, че основната функционалност на цифровите работни места може да бъде разпределена и без Citrix Cloud, изцяло on-premises. Основният продукт Virtual Apps and Desktops продължава да бъде достъпен в класически вариант, когато не само VDA, но и всички управляващи услуги клиентът развива и поддържа самостоятелно на своя площадка, без необходимост от Cloud Connector. Същото важи и за Endpoint Management – неговият on-premises предшественик се нарича XenMobile Server, обаче в облачния вариант той е малко по-функционален. Част от възможностите на Access Control клиентът също може да реализира на своя площадка. Функционалността на Secure Browser може да бъде реализирана on-premises, като изборът на браузър остава на клиента.
Стремежът всичко да бъде разположено на собствената площадка е положителен за сигурността, контрола и санкционното недоверие към чуждестранни облаци. Въпреки това, без Citrix Cloud функционалността на Content Collaboration и Analytics ще бъде напълно недостъпна. Функционалността на другите решения Citrix on-premises, както беше споменато по-горе, може да отстъпи на техните облачни реализации. И най-важното – управленската площ ще трябва да се поддържа от самия клиент и администрира самостоятелно.
Полезни връзки:
, в т.ч. Citrix Cloud
– технически видеа, статии и диаграми
Източник: habr.com
